Этапы обработки персональных данных

Предлагаем ознакомиться с тематической статьей, в которой полностью освящен вопрос: этапы обработки персональных данных. Если после прочтения останутся дополнительные вопросы или уточнения, то обратитесь к дежурному юристу.

Основные правила обработки персональных данных

Roman Samborskyi / Shutterstock.com

Несмотря на то, что согласие субъекта необходимо для обработки его персональных данных, есть несколько случаев, при которых допускается их обработка и без такого согласия:

  • если это необходимо для достижения целей, предусмотренных международным договором или законом – например, обработка работодателем персональных данных своих сотрудников (ст. 86 Трудового кодекса);
  • в связи с исполнением судебного акта или участием лица в судопроизводстве;
  • для исполнения полномочий госорганов и функций организаций, участвующих в предоставлении государственных и муниципальных услуг, включая регистрацию на едином портале госуслуг и (или) региональных порталах государственных и муниципальных услуг;
  • для заключения и (или) исполнения договора;
  • для защиты жизни, здоровья или иных жизненно важных интересов лица, если получить его согласие невозможно;
  • если это необходимо для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей, если при этом не нарушаются права и свободы субъекта;
  • при осуществлении журналисткой, научной, литературной и иной творческой деятельности, если это не нарушает права и законные интересы лица;
  • в статистических или иных исследовательских целях при условии обязательного обезличивания данных;
  • если персональные данные сделаны субъектом общедоступными;
  • при опубликовании или обязательном раскрытии информации в соответствии с законом – например, при совершении нотариальных действий (ч. 1 ст. 6 закона о персональных данных).

СОДЕРЖАНИЕ

Оператор может обрабатывать персональные данные как самостоятельно, так и поручить это с согласия субъекта третьему лицу (ч. 3 ст. 6 закона о персональных данных). В договоре при этом следует определить перечень действий с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, требования к защите обрабатываемых персональных данных. Кроме того, необходимо отдельно прописать обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке.

Получать согласие субъекта на обработку его персональных данных лицу, осуществляющему обработку персональных данных по поручению оператора, в этом случае не нужно (ч. 4 ст. 6 закона о персональных данных). Но даже если обработка поручена другому лицу, ответственность перед субъектом лежит все равно на операторе (ч. 5 ст. 6 закона о персональных данных).

БЛАНК

Договор поручения на обработку персональных данных третьим лицом
Другие бланки

Что касается передачи персональных данных за рубеж, закон ограничивает трансграничную передачу персональных данных, допуская ее осуществления лишь на территории стран-участников Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и определенных Роскомнадзором иностранных государств, хоть и не являющихся участниками этой Конвенции, но обеспечивающих адекватную защиту прав субъектов персональных данных (ст. 12 закона о персональных данных). Однако даже в отношении этих стран трансграничная передача данных может быть запрещена или ограничена, если это требуется в целях защиты основ конституционного строя России, нравственности, здоровья, прав и законных интересов граждан, а также обеспечения безопасности страны.

Вместе с тем есть ряд случаев, при которых трансграничная передача персональных данных возможна и на территории тех государств, которые не обеспечивают адекватную защиту прав субъектов персональных данных. Это допускается:

  • при наличии письменного согласия субъекта персональных данных;
  • если это предусмотрено международными договорами;
  • если это предусмотрено федеральными законами и необходимо в целях защиты основ конституционного строя, обеспечения безопасности государства и т. д.;
  • при исполнении договора, стороной которого является субъект персональных данных;
  • для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц, если получить письменное согласие на это невозможно.

Источник: http://www.garant.ru/actual/persona/obrabotka/

Раздел VI. Порядок обработки персональных данных субъектов персональных данных в информационных системах

Раздел VI. Порядок обработки персональных данных субъектов персональных данных в информационных системах

44. Обработка персональных данных в Департаменте осуществляется в следующих информационных системах:

1) ИСПДН учета труда и заработной платы (АРМ-2);

2) 1С предприятие — бухгалтерия государственного учреждения;

4) SAUMI — учет имущественных и земельных отношений.

45. Информационные системы персональных данных учета труда и заработной платы (АРМ-2) и 1С предприятие содержат персональные данные государственных служащих и работников Департамента, работающих на основании служебного контракта (трудового договора), заключаемых Департаментом, и включают:

1) фамилия, имя, отчество;

2) число, месяц, год рождения;

3) место рождения;

5) вид, серию, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дату выдачи;

6) адрес места жительства (адрес регистрации, фактического проживания);

7) номер контактного телефона или сведения о других способах связи;

8) данные страхового свидетельства государственного пенсионного страхования;

9) идентификационный номер налогоплательщика;

10) данные свидетельства государственной регистрации актов гражданского состояния;

11) семейное положение, состав семьи и сведения о близких родственниках;

12) табельный номер;

14) номера лицевого счета, текущего счета, банковской карты;

15) номер приказа и дату приема на работу (увольнения).

46. Гражданским служащим, имеющим право осуществлять обработку персональных данных в информационных системах Департамента, предоставляется криптографические средства для доступа к соответствующей информационной системе Департамента. Доступ предоставляется к прикладным программным подсистемам в соответствии с функциями, предусмотренными должностными регламентами гражданских служащих и должностными инструкциями работников.

Информация вносится в ручном режиме, при получении информации на бумажном носителе или в ином виде, не позволяющем осуществлять ее автоматическую регистрацию.

Читайте так же:  В каком случае дается академический отпуск

47. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных Департамента, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, а также принятия следующих мер по обеспечению безопасности:

1) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

2) применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

3) применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

4) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

5) учет машинных носителей персональных данных;

6) обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;

7) восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

8) установление правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;

9) контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

48. Структурное подразделение Департамента, ответственное за обеспечение информационной безопасности в Департаменте, организует и контролирует ведение учета материальных носителей персональных данных.

49. Структурное подразделение Департамента, ответственное за обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных Департамента, обеспечивает:

1) своевременное обнаружение фактов несанкционированного доступа к персональным данным и немедленное доведение этой информации до ответственного за организацию обработки персональных данных в Департаменте и директора Департамента;

2) недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

3) возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

4) постоянный контроль за обеспечением уровня защищенности персональных данных;

5) знание и соблюдение условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

6) учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;

7) при обнаружении нарушений порядка предоставления персональных данных незамедлительное приостановление предоставления персональных данных пользователям информационной системы персональных данных до выявления причин нарушений и устранения этих причин;

8) разбирательство и составление заключений по фактам несоблюдения условий хранения материальных носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.

50. Структурное подразделение Департамента, ответственное за обеспечение функционирования информационных систем персональных данных в Департаменте, принимает все необходимые меры по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

51. Доступ гражданских служащих Департамента к персональным данным, находящимся в информационных системах персональных данных Департамента, предусматривает обязательное прохождение процедуры идентификации и аутентификации.

52. В случае выявления нарушений порядка обработки персональных данных в информационных системах персональных данных Департамента уполномоченными должностными лицами незамедлительно принимаются меры по установлению причин нарушений и их устранению.

>
Сроки обработки и хранения персональных данных
Содержание
Постановление Департамента имущественных и земельных отношений Курганской области от 29 апреля 2016 г. N 17 «О реализации.

Откройте актуальную версию документа прямо сейчас или получите полный доступ к системе ГАРАНТ на 3 дня бесплатно!

Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.

Источник: http://base.garant.ru/18383870/fd60475f90ada2748768d9adac61aafb/

Защита персональных данных

Защита персональных данных является одной из самых востребованных услуг в области информационной безопасности в России. Это связанно как с актуальностью и важностью защиты персональных данных (ПДн), так и с тем, что законодательство и нормативная база постоянно совершенствуются, отражая актуальные угрозы нашего времени.

ООО «Астерит» является лицензиатом ФСТЭК России и ФСБ России, и выполняет полный спектр работ по защите персональных данных (ПДн) в соответствии с Федеральным законом № 152-ФЗ от 26.06.2006 г. «О персональных данных».

Компания «Астерит» предлагает поэтапный подход к решению этой задачи — от обследования до разработки проекта и его реализации, обеспечивая, в конечном счете, полное соответствие законодательству о защите персональных данных.

Основные этапы работ по защите персональных данных

Аттестация, выдача Аттестата соответствия информационной системы Сопровождение системы защиты персональных данных

Каждый этап защиты персональных данных состоит из определенной последовательности работ, проводимых специалистами лицензиата – компании «Астерит». Реализация проекта по защите персональных данных может производиться как поэтапно (с заключением отдельных договоров на каждый этап), так и комплексно.

Источник: http://asterit.ru/zashita_personalnih_dannih

Портал службы поддержки

Результаты поиска

Безопасность данных и соглашения

Основные сведения о ПДн, их автоматизированной обработке и защите

Законодательство РФ в области защиты персональных данных

1 января 2011 года вступил в силу федеральный закон от 27.07.06 № 152-ФЗ «О персональных данных» (ред. 31.12.2017 ), регламентирующий порядок защиты персональных данных граждан РФ.

Персональные данные (ПДн) — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) — его фамилия, имя, отчество, место и дата рождения, адрес проживания, семейное, социальное, имущественное положение, образование, профессия, доходы и прочее.

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Читайте так же:  Суд по интеллектуальным правам госпошлина

Согласно федеральному закону образовательные организации являются операторами персональных данных, поскольку занимаются обработкой персональных данных своих сотрудников, обучающихся и их законных представителей.

Обработка ПДн — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

Выполнение требований закона в образовательных организациях

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от:

  • неправомерного или случайного доступа к ним;
  • уничтожения;
  • изменения;
  • блокирования;
  • копирования;
  • предоставления;
  • распространения;
  • иных неправомерных действий в отношении персональных данных.

В образовательных организациях должен быть выполнен комплекс работ по сбору пакета документов, предоставляемых на проверку регуляторам контролирующим организациям.

Подробнее об этапах организации защиты ПДн в образовательных организациях рассказано здесь.

Ответственность за нарушение ФЗ №152 «О персональных данных»

Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность.

Документальное регламентирование работы с персональными данными

Согласно статье 86 Трудового кодекса РФ, работники и их представители должны быть ознакомлены под роспись с теми документами работодателя, которые устанавливают порядок обработки персональных данных работников, а также их права и обязанности в этой области. Субъект персональных данных самостоятельно решает вопрос их передачи кому-либо, оформляя свое намерение документально.

Согласия на обработку персональных данных физических лиц

В соответствии со статьей 9 ФЗ-№152 «О персональных данных» обработка персональных данных субъекта осуществляется только при условии наличия его письменного согласия с указанием следующих данных:

  • фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
  • фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
  • наименование (фамилия, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
  • цель обработки персональных данных;
  • перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
  • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
  • перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
  • срок, в течение которого действует согласие, а также порядок его отзыва№
  • подпись субъекта персональных данных.

Формы согласий на обработку персональных данных сотрудников образовательных организаций, обучающихся и их законных представителей, используемые при подключении к Дневник.ру, полностью соответствуют вышеуказанным требованиям.

Подписанные согласия хранятся в образовательных организациях и могут быть предоставлены только по требованию регуляторов и других уполномоченных органов РФ.

Ограничение доступа работников к персональным данным

Видео (кликните для воспроизведения).

Ограничение доступа работников организации к персональным данным – неотъемлемая часть мероприятий по обеспечению безопасности ПДн при их обработке в информационных системах. Допуск к обработке персональных данных должен быть только у тех сотрудников, которым это необходимо для выполнения служебных (трудовых) обязанностей.

Система «Дневник.ру» построена таким образом, что сотрудники образовательных организаций, обучающиеся и их законные представители могут пройти регистрацию на сайте только после получения первоначальных логинов и паролей в своей образовательной организации. Все данные хранятся в Администрации образовательной организации и не подлежат разглашению, что гарантирует отсутствие посторонних лиц в системе «Дневник.ру».

Классификация ИСПДн

Подробная информация об ИСПДн и классах защищенности опубликована в специальной статье.

Информационные системы классов К1 и К2

Дневник.ру – информационная система класса К2.

Организации, информационные системы которых отнесены к классам К1 и К2 обязаны:

  • составить и отправить в уполномоченный орган уведомление об обработке персональных данных с целью занесения в реестр операторов персональных данных;
  • получить лицензию ФСТЭК РФ на деятельность по технической защите конфиденциальной информации.

Аттестация (сертификация) ИСПДн

Для обеспечения безопасности ИСПДн требуется проводить мероприятия по организации и техническому сопровождению защиты обрабатываемых персональных данных. В качестве оценки соответствия ИСПДн 1 и 2 классов требованиям к безопасности персональных данных используется обязательная сертификация (аттестация).


Источник: http://help.dnevnik.ru/hc/ru/articles/203475258-%D0%9E%D1%81%D0%BD%D0%BE%D0%B2%D0%BD%D1%8B%D0%B5-%D1%81%D0%B2%D0%B5%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F-%D0%BE-%D0%9F%D0%94%D0%BD-%D0%B8%D1%85-%D0%B0%D0%B2%D1%82%D0%BE%D0%BC%D0%B0%D1%82%D0%B8%D0%B7%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%BD%D0%BE%D0%B9-%D0%BE%D0%B1%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D0%BA%D0%B5-%D0%B8-%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D0%B5?mobile_site=true

Политика обработки персональных данных: как составить документ

Разрабатывая Политику обработки персональных данных, обязательно пропишите в документе шесть компонентов.

1 июля 2017 года вступил в силу Федеральный закон от 07.02.2017 № 13-ФЗ, который вносит поправки в ст. 13.11 КоАП и предусматривает расширение перечня оснований для привлечения к административной ответственности за незаконную обработку персональных данных и существенное увеличение штрафов.

Один из обязательных документов, который должен подготовить оператор персональных данных, чтобы соблюсти требования Федерального закона от 27.07.2006 № 152-ФЗ, называется Политика в отношении обработки персональных данных, она объясняет, как компания работает с данными работников, клиентов и других физических лиц. Этот файл находится в свободном доступе практически на всех сайтах, которые имеют какие-либо формы сбора персональных данных.

Читайте так же:  Правовые последствия признания сделки ничтожной

Как правильно составить Политику обработки персональных данных, какие разделы нужно обязательно включить? Разъяснения по этим вопросам дает Роскомнадзор.

Структура Политики обработки персональных данных

Ведомство рекомендует предусмотреть в документе шесть основных компонентов:

  • Общие положения
  • Цели сбора персональных данных
  • Правовые основания обработки персональных данных
  • Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
  • Порядок и условия обработки персональных данных
  • Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

1. Общие цели

В этом разделе вы фактически отвечаете на вопрос — для чего предназначена Политика обработки персональных данных? Здесь же разъясняются основные понятия, которые используются в документе, а также права и обязанности оператора и субъекта персональных данных.

2. Цели сбора персональных данных

Ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ требует определения конкретных, законных целей сбора данных. Следовательно, нельзя обрабатывать персональные данные, которые не соответствуют этим целям.

Роскомнадзор указывает на то, что цели обработки персональных данных могут происходить в том числе:

  • из анализа правовых актов, регламентирующих деятельность оператора;
  • из целей фактически осуществляемой оператором деятельности;
  • из деятельности, которая предусмотрена учредительными документами оператора;
  • из конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).

3. Правовые основания обработки персональных данных

Федеральный закон от 27.07.2006 № 152-ФЗ не является правовым основанием обработки персональных данных. Эту роль выполняют правовые акты, в соответствии с которыми оператор обрабатывает данные.

Таким образом, в Политике обработки данных в качестве правовых оснований можно указать: федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора; уставные документы оператора; договоры, заключаемые между оператором и субъектом персональных данных; согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям оператора).

4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

Важно, чтобы объем обрабатываемых персональных данных не расходился с заявленными целями обработки.

К категориям субъектов персональных данных могут относиться: сотрудники — как настоящие, так и бывшие, кандидаты на вакансии, родственники работников, клиенты и контрагенты (физлица), представители или работники клиентов и контрагентов.

Минимизируйте риски: убедитесь в том, что персональные данные защищены в соответствии с ФЗ-152

Роскомнадзор обращает внимание на то, что по каждой категории субъектов и применительно к конкретным целям следует указать все обрабатываемые персональные данные. Отдельно описываются все случаи обработки специальных категорий персональных данных и биометрических персональных данных (если применяются).

5. Порядок и условия обработки персональных данных

Что указывается в этом разделе:

  • перечень действий, совершаемых с персональными данными;
  • способы обработки персональных данных;
  • сроки обработки персональных данных.

Если в рамках достижения целей обработки персональных данных оператор взаимодействует с третьими лицами, то ему нужно:

  • пояснить условия передачи персональных данных в адрес третьих лиц (в том числе речь идет и о трансграничной передаче данных);
  • указать наименование и местонахождение третьих лиц;
  • обозначить цели передачи данных и их объем;
  • перечислить действия по обработке, способы и иные условия обработки, включая требования к защите обрабатываемых персональных данных.

Передавать персональные данные оператор вправе органам дознания и следствия, а также иным уполномоченным органам по предусмотренным законодательством основаниям.

В Политику обработки персональных данных следует внести сведения о соблюдении требований конфиденциальности персональных данных (они названы в ст. 7 Федерального закона от 27.07.2006 № 152-ФЗ) и информацию о принятии мер (ч. 2 ст. 18.1, ч. 1 ст. 19).

Кроме того, оператору нужно указать условие прекращения обработки персональных данных. Это может быть достижение целей обработки, истечение срока действия согласия на обработку, отзыв согласия субъекта персональных данных на обработку, выявление неправомерной обработки данных.

Отдельное внимание стоит уделить такому вопросу, как хранение персональных данных. Во-первых, обязательно называются сроки. Во-вторых, используются базы данных, находящиеся на территории РФ. В-третьих, учитывается тот факт, что хранение должно осуществляться в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки. В-четвертых, необходимо упомянуть об иных условия хранения, в том числе, при обработке данных без использования средств автоматизации.

6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

Согласно ст. 21 № 152-ФЗ, персональные данные должны быть актуализированы оператором, если подтвержден факт неточности персональных данных. То же касается и подтверждения факта неправомерности обработки.

Персональные данные подлежат уничтожению при достижении целей их обработки и в случае отзыва субъектом персональных данных согласия на их обработку, если: иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных; иное не предусмотрено иным соглашением между оператором и субъектом персональных данных. Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ или иными федеральными законами.

На основании ст. 20 оператор обязан сообщить субъекту персональных данных информацию об осуществляемой им обработке персональных данных по запросу.

Роскомнадзор рекомендует включить в Политику обработки персональных данных регламенты реагирования на запросы и обращения субъектов персональных данных, их представителей, уполномоченных органов по поводу неточности данных, неправомерности их обработки, отзыва согласия и доступа к своим данным. Не лишним будет добавить в Политику соответствующие формы запросов и обращений.

Читайте так же:  Восстановление срока исковой давности допускается

Размещение Политики обработки персональных данных в офисе и на сайте

Любой человек, чьи данные обрабатывает компания, имеет право ознакомиться с Политикой обработки персональных данных. Поэтому ее нужно размещать в общедоступном месте. Например, использовать для этого информационный стенд.

Если компания собирает персональные данные через интернет, то она обязана разместить Политику на сайте. Посетитель сайта сможет ознакомиться с ней, кликнув по ссылке.

Чтобы узнавать о самых важных изменениях, касающихся бизнеса, присоединяйтесь к нашему каналу в Telegram!

Источник: http://kontur.ru/articles/4871

Этапы обработки персональных данных

Согласно ФЗ №152 «О персональных данных» образовательные организации являются операторами персональных данных, поскольку занимаются обработкой персональных данных учащихся и педагогов. Следовательно, ответственными сотрудниками этих организаций должно обеспечиваться соблюдение вышеуказанного закона.

Выполнение требований закона в образовательных организациях

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от:

  • неправомерного или случайного доступа к ним;
  • уничтожения;
  • изменения;
  • блокирования;
  • копирования;
  • предоставления;
  • распространения;
  • иных неправомерных действий в отношении персональных данных.

В рамках образовательных организаций должен быть выполнен комплекс работ по сбору пакета документов, предоставляемых на проверку контролирующим организациям.

В настоящее время отсутствуют нормативные акты, утверждающие форму этих типовых ведомственных документов по защите персональных данных в образовательных организациях.

Пакет документов для проверки

Цифровая образовательная платформа «Дневник.ру» предоставляет шаблоны указанных форм документов образовательным организациям, заключившим соглашение с Дневник.ру. Благодаря этому у образовательных организаций отпадает необходимость в самостоятельном подборе и составлении документации из этого обширного перечня.

Этапы работ

Организация защиты персональных данных должна производиться в несколько этапов:

  • инвентаризация информационных ресурсов;
  • ограничение доступа работников к персональным данным;
  • документальное регламентирование работы с персональными данными;
  • формирование модели угроз безопасности персональных данных;
  • классификация информационных систем персональных данных (ИСПДн) образовательных организаций;
  • составление и отправка в уполномоченный орган уведомления об обработке персональных данных;
  • приведение системы защиты персональных данных в соответствие с требованиями регуляторов;
  • создание подсистемы информационной безопасности ИСПДн и ее аттестация (сертификация) – для ИСПДн классов К1, К2;
  • организация эксплуатации и контроля безопасности ИСПДн.

Этап 1. Инвентаризация информационных ресурсов

Инвентаризация информационных ресурсов — выявление присутствия и осуществления обработки персональных данных во всех эксплуатируемых в организации информационных системах и традиционных хранилищах данных. В качестве информационных систем, относящихся к ИСПДн, выступают:

  • электронный журнал/дневник;
  • «1С-Бюджет»;
  • «1С-Зарплата-Кадры»;
  • автоматизированная информационная библиотечная система;
  • информационная система «Налогоплательщик» и другие.

Выполняя функции электронного журнала/дневника, информационная система «Дневник.ру» является ИСПДн и зарегистрирована Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций РФ в реестре операторов персональных данных под регистрационным номером 09-0062296.

На данном этапе следует:

  • утвердить положение о защите персональных данных;
  • сформировать концепцию, определить политику информационной безопасности;
  • составить перечень персональных данных, подлежащих защите.

Места обработки персональных данных:

  • бухгалтерия;
  • библиотека;
  • учительская;
  • отдел кадров;
  • медпункт.

Этап 2. Ограничение доступа работников к персональным данным

Ограничение доступа работников организации к персональным данным – неотъемлемая часть мероприятий по обеспечению безопасности ПДн при их обработке в информационных системах. Допуск к обработке персональных данных должен быть только у тех сотрудников, которым это необходимо для выполнения служебных (трудовых) обязанностей. Система Дневник.ру построена таким образом, что сотрудники образовательных организаций, учащиеся и их законные представители могут пройти регистрацию на сайте только после получения логина и пароля для первого входа в своей образовательной организации. Все данные хранятся в Администрации образовательной организации и не подлежат разглашению, что гарантирует отсутствие посторонних лиц в Дневник.ру.

На данном этапе следует : в необходимой мере ограничить как электронный, так и физический доступ к персональным данным, хранящимся в образовательной организации.

Этап 3. Документальное регламентирование работы с персональными данными

Согласно статье 86 Трудового кодекса РФ, работники и их представители должны быть ознакомлены под роспись с теми документами работодателя, которые устанавливают порядок обработки персональных данных работников, а также их права и обязанности в этой области.

Субъект персональных данных самостоятельно решает вопрос их передачи кому-либо, оформляя свое намерение документально.

На данном этапе следует:

  • собрать согласия на обработку персональных данных;
  • издать приказ о назначении лиц, ответственных за обработку ПДн;
  • издать положение о разграничении прав доступа к обрабатываемым ПДн;
  • составить инструкции администратора ИСПДн, пользователя ИСПДн и администратора безопасности ИСПДн.

Согласия на обработку персональных данных физических лиц

В соответствии со статьей 9 ФЗ-№152 «О персональных данных» обработка персональных данных субъекта осуществляется только при условии наличия его письменного согласия с указанием следующих данных:

  • фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
  • фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
  • наименование (фамилия, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
  • цель обработки персональных данных;
  • перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
  • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
  • перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
  • срок, в течение которого действует согласие, а также порядок его отзыва№
  • подпись субъекта персональных данных.
Читайте так же:  Возмещение военных потерь и убытков

Формы согласий на обработку персональных данных сотрудников образовательных организаций, учащихся и их законных представителей, используемые при подключении к Дневник.ру, полностью соответствуют вышеуказанным требованиям.

Подписанные согласия хранятся в образовательных организациях и могут быть предоставлены только по требованию регуляторов и других уполномоченных органов РФ.

Этап 4. Формирование модели угроз безопасности персональных данных

Частная модель угроз безопасности персональных данных, хранящихся в информационной системе, формируется на основании следующих документов, утвержденных Федеральной службой по техническому и экспортному контролю (ФСТЭК):

  • Базовая модель угроз безопасности персональных данных при их обработке в ИСПДн.
  • Методика определения актуальных угроз безопасности персональных данных при их обработке в ИСПДн.
  • Частная модель угроз безопасности персональных данных, хранящихся в информационной системе «Дневник.ру», была сформирована ФГУП «ЗащитаИнфоТранс». Она показывает, что персональные данные пользователей, обрабатываемые в Дневник.ру, подвергаются низкой степени угрозы несанкционированного доступа к ним.

На данном этапе следует сформировать модель угроз безопасности персональных данных, обрабатываемых и хранящихся в образовательной организации.

Этап 5. Классификация ИСПДн

На данном этапе следует составить акты классификации используемых в образовательной организации информационных систем персональных данных.

Этап 6. Составление и отправка в уполномоченный орган уведомления

Уведомление об обработке персональных данных оформляется на бланке оператора и направляется в территориальный орган Роскомнадзора Министерства связи и массовых коммуникаций РФ на бумажном носителе или в форме электронного документа с подписью уполномоченного лица. В форме указываются данные об обработчике, цель обработки, категории данных, категории субъектов, данные которых обрабатываются, правовое основание обработки, дата ее начала, срок (условие) ее прекращения и прочее.

На данном этапе следует: на сайте Уполномоченного органа по защите прав субъектов персональных данных http://www.pd.rsoc.ru/operators-registry/notification/form/ заполнить и отправить форму уведомления в электронном виде или распечатать на бумажном носителе.

Этап 7. Приведение системы в соответствие с требованиями регуляторов

В ФЗ №152 «О персональных данных» сказано, что оператор персональных данных обязан принимать все необходимые меры по защите безопасности ПДн. Это означает потребность оператора в использовании современных высокотехнологичных способов хранения ПДн. Персональные данные, обрабатываемые системой Дневник.ру, хранятся в одном из лучших дата-центров России — Селектел, который находится в городе Санкт-Петербурге. Многоуровневая система доступа, отвечающая самым жестким требованиям банковских и государственных структур, обеспечивает безопасное хранение данных.

На данном этапе следует:

  • создать перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним;
  • создать положение о подразделении по защите информации;
  • подготовить методические рекомендации для организации защиты информации при обработке персональных данных;
  • создать инструкцию пользователя по обеспечению безопасности обработки ПД при возникновении внештатных ситуаций;
  • утвердить план мероприятий по защите ПДн.

Этап 8. Аттестация (сертификация) ИСПДн

Для обеспечения безопасности ИСПДн требуется проводить мероприятия по организации и техническому сопровождению защиты обрабатываемых персональных данных. В качестве оценки соответствия ИСПДн 1 и 2 классов требованиям к безопасности ПДн используется обязательная сертификация (аттестация).

На данном этапе следует:

  • создать эскизный проект системы обеспечения безопасности информации объекта вычислительной техники;
  • создать типовое техническое задание на разработку системы обеспечения безопасности информации объекта вычислительной техники;
  • определить порядок резервирования технических средств защиты информации.

Перечень объектов информатизации, подлежащих аттестации

Обязательной аттестации подлежат следующие объекты информатизации:

  • Автоматизированные системы различного уровня и назначения.
  • Системы связи, приема, обработки и передачи данных.
  • Системы отображения и размножения.
  • Помещения, предназначенные для ведения конфиденциальных переговоров.

Этап 9. Организация эксплуатации ИСПДн и контроля за безопасностью

Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:

  • контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
  • разбирательство и составление заключений по фактам несоблюдения условий хранения носителей ПДн, использования средств защиты информации, которые могут привести к нарушению конфиденциальности ПДн.

На данном этапе следует:

  • Разработать проект приказа о положении об электронном журнале обращений пользователей информационных систем персональных данных → создать журнал учета обращений субъектов ПДн о выполнении их законных прав и журнал учета мероприятий по контролю.
  • Сформировать план внутренних проверок → издать приказ о проведении внутренней проверки → составить отчет о результатах проведения внутренней проверки.

Поддержание эффективной системы защиты ПДн

Для поддержания системы защиты персональных данных на высоком уровне требуется проведение следующих мероприятий:

  • Развертывание полноценной системы обработки ПДн. Система «Дневник.ру» обладает качественными техническими ресурсами, применение которых позволяет осуществлять безопасную обработку персональных данных в образовательной организации.
  • Полномасштабное внедрение средств защиты. Высококвалифицированные специалисты Дневник.ру обеспечивают постоянный контроль и необходимое техническое обслуживание системы защиты персональных данных пользователей.
  • Аттестация ИСПДн. Информационная система «Дневник.ру» имеет все необходимые лицензии и сертификаты для обработки персональных данных.
  • Приведение всех процессов обработки ПДн в соответствие с требованиями закона. Дневник.ру отвечает требованиям законодательства в области защиты персональных данных.
  • Реакция на регулярные проверки и прочее.

Ответственность за нарушение ФЗ №152 «О персональных данных»

  • Административная ответственность: штраф или штраф с конфискацией несертифицированных средств обеспечения безопасности и шифровальных средств. Административный кодекс, ст. 13.11, 13.12, 13.14.
Видео (кликните для воспроизведения).

Источник: http://help.dnevnik.ru/hc/ru/articles/203475268-%D0%AD%D1%82%D0%B0%D0%BF%D1%8B-%D0%BE%D1%80%D0%B3%D0%B0%D0%BD%D0%B8%D0%B7%D0%B0%D1%86%D0%B8%D0%B8-%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D1%8B-%D0%9F%D0%94%D0%BD-%D0%B2-%D0%9E%D0%9E-%D0%B4%D0%BB%D1%8F-%D0%B0%D0%B4%D0%BC%D0%B8%D0%BD%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0-

Этапы обработки персональных данных
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here